Importar objetos de casa inteligente da China: RED e cibersegurança 2025

Um objeto de casa inteligente é, na aceção do direito europeu, um equipamento radioelétrico assim que emite ou recebe ondas para comunicar com outro aparelho ou uma rede. Uma tomada comandável, uma câmara de vigilância, um sensor de movimento ou de fumo, um termóstato, uma lâmpada ou um robô aspirador conectados por Wi-Fi, Bluetooth, Zigbee ou Thread enquadram-se todos nesta definição, seja qual for a sua função doméstica.

Esta qualificação desencadeia um enquadramento preciso: o produto deve respeitar a diretiva RED antes da colocação no mercado europeu, e desde 1 de agosto de 2025, uma camada adicional de exigências de cibersegurança aplica-se aos objetos conectados de grande consumo.

A diretiva RED, Radio Equipment Directive 2014/53/UE, enquadra a colocação no mercado de qualquer equipamento radioelétrico na União Europeia. Aplica-se desde 13 de junho de 2016 e substituiu a diretiva R&TTE 1999/5/CE. O seu objetivo de origem cobre três vertentes: a segurança e a saúde dos utilizadores, o uso eficaz do espetro radioelétrico, e a compatibilidade eletromagnética do aparelho.

Antes mesmo da cibersegurança, um objeto conectado já deve satisfazer estas exigências de base para ostentar a marcação CE. O fabricante, ou o importador que atua como tal quando nenhum fabricante estabelecido na União assume esse papel, deve produzir uma declaração UE de conformidade e um processo técnico disponível para as autoridades.

O regulamento delegado (UE) 2022/30 acrescenta três exigências essenciais ao artigo 3.º, n.º 3, alíneas d), e) e f), da diretiva RED. Entraram em aplicação a 1 de agosto de 2025 para os objetos conectados de grande consumo, os wearables, os brinquedos conectados e os monitores de bebé.

Estas três exigências somam-se, sem o substituir, ao enquadramento existente da RED. Um produto que não as respeite não pode ostentar a marcação CE, mesmo que satisfaça, quanto ao resto, as exigências rádio e elétricas clássicas.

A série de normas harmonizadas EN 18031, publicada no Jornal Oficial da União Europeia a 30 de janeiro de 2025, decompõe as três exigências acima em critérios técnicos verificáveis: EN 18031-1 para a rede, EN 18031-2 para os dados e a privacidade, EN 18031-3 para as salvaguardas antifraude. Desde 1 de agosto de 2025, cumprir esta norma faz presumir a conformidade com o regulamento delegado 2022/30.

Na maioria dos casos, o cumprimento da EN 18031 permite uma autodeclaração: o fabricante realiza ele próprio a avaliação, constitui o processo técnico e assina a declaração UE de conformidade, sem organismo notificado. Um organismo notificado torna-se necessário se o produto se afastar de uma cláusula restritiva da norma, por exemplo se permitir não definir uma palavra-passe: a presunção automática cai então, e um exame de tipo UE passa a ser exigido.

Para um objeto conectado com uma função rádio, Wi-Fi ou Bluetooth por exemplo, a compatibilidade eletromagnética é coberta pela própria RED. Para um aparelho elétrico sem função rádio, é a diretiva CEM 2014/30/UE que se aplica separadamente para as emissões e a imunidade.

Um objeto conectado alimentado pela rede permanece, além disso, sujeito à diretiva baixa tensão 2014/35/UE para os riscos elétricos, bem como às diretivas RoHS e REEE sobre as substâncias perigosas e o fim de vida, como qualquer produto eletrónico. Estes textos cumulam-se com a RED, não a substituem.

Em França, a ANFR fiscaliza o mercado dos equipamentos radioelétricos: coima limitada a 1.500 euros para uma pessoa singular, 7.500 euros para uma pessoa coletiva, além de possíveis sanções penais. O Cyber Resilience Act prevê um regime distinto, até 15 milhões de euros ou 2,5% do volume de negócios mundial.

O Cyber Resilience Act, regulamento (UE) 2024/2847 sobre os produtos com elementos digitais, entrou em vigor a 10 de dezembro de 2024. Dois marcos contam para o sourcing da casa inteligente: já a partir de 11 de setembro de 2026, obrigação de comunicar as vulnerabilidades ativamente exploradas e os incidentes graves à ENISA ou ao CSIRT nacional; a partir de 11 de dezembro de 2027, aplicação completa das exigências essenciais, da avaliação de conformidade, da marcação CE e da documentação técnica do CRA.

O regulamento delegado 2022/30, que hoje sustenta a cibersegurança da RED, será revogado a 11 de dezembro de 2027 e absorvido pelo CRA. Um produto já colocado no mercado antes dessa data permanece sob o regime RED enquanto não sofrer uma alteração substancial após 11 de dezembro de 2027; a obrigação de comunicação aplica-se, essa, já a partir de 11 de setembro de 2026, seja qual for a data de colocação no mercado.

Uma fábrica que já produz objetos conectados para marcas europeias normalmente já mandou testar as suas referências por um laboratório acreditado e dispõe de relatórios EN 18031 reutilizáveis ou adaptáveis. Uma fábrica que descobre estas exigências no momento da sua encomenda representa um risco de atraso e de não conformidade mais elevado.

A política de atualização do firmware merece uma atenção especial: proteger a rede pressupõe que o aparelho possa receber correções de segurança depois da colocação no mercado. Faça precisar por escrito o período durante o qual a fábrica se compromete a fornecer estas atualizações.

A Sorva é uma casa de corretagem e comércio entre a Europa e a China, com uma equipa sinófona em Guangzhou e um escritório em Paris. O nosso estudo de conformidade regulamentar verifica a classificação RED do produto, a presunção EN 18031 aplicável e os textos que se cumulam, CEM, baixa tensão, RoHS, antes de qualquer compromisso de produção. Um processo técnico do produto reúne depois os elementos esperados pelas autoridades: relatórios de teste, declaração de conformidade, ficha rádio.

Na maioria dos casos, não paga honorários sobre a mercadoria em si: abre um processo, negociamos a compra por si junto da fábrica e cobramos uma comissão sobre o seu valor à saída da fábrica. O estudo de conformidade e o processo técnico permanecem prestações à parte, úteis desde a seleção do fornecedor.